1、典型中小企业网络边界安全解决方案Hillstone Networks Inc.典型中小型企业网络边界安全解决方案2 / 43目录1 前言 .41.1 方案目的 .41.2 方案概述 .42 安全需求分析 .62.1 典型中小企业网络现状分析 .62.2 典型中小企业网络安全威胁 .82.3 典型中小企业网络安全需求 .102.3.1 需要进行有效的访问控制 .102.3.2 深度应用识别的需求 .112.3.3 需要有效防范病毒 .112.3.4 需要实现实名制管理 .112.3.5 需要实现全面 URL 过滤 .122.3.6 需要实现 IPSEC VPN.122.3.7 需要实现集中化的管
2、理 .123 安全技术选择 .133.1 技术选型的思路和要点 .133.1.1 首要保障可管理性 .133.1.2 其次提供可认证性 .133.1.3 再次保障链路畅通性 .143.1.4 最后是稳定性 .143.2 选择山石安全网关的原因 .143.2.1 安全可靠的集中化管理 .153.2.2 基于角色的安全控制与审计 .163.2.3 基于深度应用识别的访问控制 .173.2.4 深度内容安全(UTMPlus) .173.2.5 高性能病毒过滤 .183.2.6 灵活高效的带宽管理功能 .193.2.7 强大的 URL 地址过滤库 .213.2.8 高性能的应用层管控能力 .213.2
3、.9 高效 IPSEC VPN.223.2.10 高可靠的冗余备份能力 .224 系统部署说明 .234.1 安全网关部署设计 .244.2 安全网关部署说明 .25典型中小型企业网络边界安全解决方案3 / 434.2.1 部署集中安全管理中心 .254.2.2 基于角色的管理配置 .294.2.3 配置访问控制策略 .304.2.4 配置带宽控制策略 .314.2.5 上网行为日志管理 .334.2.6 实现 URL 过滤 .354.2.7 实现网络病毒过滤 .364.2.8 部署 IPSEC VPN.374.2.9 实现安全移动办公 .385 方案建设效果 .38典型中小型企业网络边界安全
4、解决方案4 / 431 前言1.1 方案目的本方案的设计对象为国内中小企业，方案中定义的中小型企业为：人员规模在 2 千人左右，在全国各地有分支机构，有一定的信息化建设基础，信息网络覆盖了总部和各个分支机构，业务系统有支撑企业运营的 ERP 系统，支撑企业员工处理日常事务的 OA 系统，和对外进行宣传的企业网站；业务集中在总部，各个分支机构可远程访问业务系统完成相关的业务操作。根据当前国内企业的发展趋势，中小企业呈现出快速增长的势头，计算机系统为企业的管理、运营、维护、办公等提供了高效的运行条件，为企业经营决策提供了有力支撑，为企业的对外宣传发挥了重要的作用，因此企业对信息化建设的依赖也越来越
5、强，但同时由于计算机网络所普遍面临的安全威胁，又给企业的信息化带来严重的制约，互联网上的黑客攻击、蠕虫病毒传播、非法渗透等，严重威胁着企业信息系统的正常运行；内网的非法破坏、非法授权访问、员工故意泄密等事件，也是的企业的正常运营秩序受到威胁，如何做到既高效又安全，是大多数中小企业信息化关注的重点。而作为信息安全体系建设，涉及到各个层面的要素，从管理的角度，涉及到组织、制度、流程、监督等，从技术的角度，设计到物理层、网络层、主机层、应用层和运维层，本方案的重点是网络层的安全建设，即通过加强对基础网络的安全控制和监控手段，来提升基础网络的安全性，从而为上层应用提供安全的运行环境，保障中小企业计算机
6、网络的安全性。1.2 方案概述本方案涉及的典型中小型企业的网络架构为：两级结构，纵向上划分为总部与分支机构，总部典型中小型企业网络边界安全解决方案5 / 43集中了所有的重要业务服务器和数据库，分支机构只有终端，业务访问则是通过专线链路直接访问到总部；总部及分支机构均有互联网出口，提供给员工进行上网访问，同时总部的互联网出口也作为网站发布的链路途径。典型中小型企业的网络结构可表示如下：典型中小型企业网络结构示意图为保障中小企业网络层面的安全防护能力，本方案结合山石网科集成化安全平台，在对中小企业信息网络安全域划分的基础上，从边界安全防护的角度，实现以下的安全建设效果： 实现有效的访问控制：对员
7、工访问互联网，以及员工访问业务系统的行为进行有效控制，杜绝非法访问，禁止非授权访问，保障访问的合法性和合规性； 实现有效的集中安全管理：中小型企业的管理特点为总部高度集中模式，通过网关的集中管理系统，中小企业能够集中监控总部及各个分支机构员工的网络访问行为，做到可视化的安全。典型中小型企业网络边界安全解决方案6 / 43 保障安全健康上网：对员工的上网行为进行有效监控，禁止员工在上班时间使用 P2P、网游、网络视频等过度占用带宽的应用，提高员工办公效率；对员工访问的网站进行实时监控，限制员工访问不健康或不安全的网站，从而造成病毒的传播等； 保护网站安全：对企业网站进行有效保护，防范来自互联网上
8、黑客的故意渗透和破坏行为； 保护关键业务安全性：对重要的应用服务器和数据库服务器实施保护，防范病毒和内部的非授权访问； 实现实名制的安全监控：中小型企业的特点是，主机 IP 地址不固定，但全公司有统一的用户管理措施，通常通过 AD 域的方式来实现，因此对于访问控制和行为审计，可实现基于身份的监控，实现所谓的实名制管理； 实现总部与分支机构的可靠远程传输：典型中小型企业的链路使用模式为，专线支撑重要的业务类访问，互联网链路平时作为员工上网使用，当专线链路故障可作为备份链路，为此通过总部与分支机构部署网关的 IPSEC VPN 功能，可在利用备份链路进行远程通讯中，保障数据传输的安全性； 对移动办
9、公的安全保障：利用安全网关的 SSL VPN 功能，提供给移动办公人员进行远程安全传输保护，确保数据的传输安全性；2 安全需求分析2.1 典型中小企业网络现状分析中小企业的典型架构为两级部署，从纵向上划分为总部及分支机构，总部集中了所有的重要业典型中小型企业网络边界安全解决方案7 / 43务服务器和数据库，分支机构只有终端，业务访问则是通过专线链路直接访问到总部；总部及分支机构均有互联网出口，提供给员工进行上网访问，同时总部的互联网出口也作为网站发布的链路途径。双链路给中小企业应用访问带来的好处是，业务访问走专线，可保障业务的高可靠性；上网走互联网链路，增加灵活性，即各个分支机构可根据自己的人
10、员规模，采用合理的价格租用电信宽带；从网络设计上，中小企业各个节点的结构比较简单，为典型的星形结构设计，总部因用户量和服务器数量较高，因此核心往往采用三层交换机，通过 VLAN 来划分不同的子网，并在子网内部署终端及各类应用服务器，有些中小型企业在 VLAN 的基础上还配置了 ACL，对不同 VLAN 间的访问实行控制；各分支机构的网络结构则相对简单，通过堆叠二层交换连接到不同终端。具体的组网结构可参考下图：典型中小型企业网络边界安全解决方案8 / 43典型中小企业组网结构示意图2.2 典型中小企业网络安全威胁在没有采取有效的安全防护措施，典型的中小型企业由于分布广，并且架构在 TCP/IP
11、网络上，由于主机、网络、通信协议等存在的先天性安全弱点，使得中小型企业往往面临很多的安全威胁，其中典型的网络安全威胁包括：【非法和越权的访问】中小型企业信息网络内承载了与生产经营息息相关的 ERP、OA 和网站系统，在缺乏访问控制的前提下很容易受到非法和越权的访问；虽然大多数软件都实现了身份认证和授权访问的功能，但是这种控制只体现在应用层，如果远程通过网络层的嗅探或攻击工具（因为在网络层应用服务器与任何一台企业网内的终端都是相通的） ，有可能会获得上层的身份和口令信息，从而对业务系统进行非法及越权访问，破坏业务的正常运行，或非法获得企业的商业秘密，造成泄露；【恶意代码传播】大多数的中小企业，都
12、在终端上安装了防病毒软件，以有效杜绝病毒在网络中的传播，但是随着蠕虫、木马等网络型病毒的出现，单纯依靠终端层面的查杀病毒显现出明显的不足，这种类型病毒的典型特征是，在网络中能够进行大量的扫描，当发现有弱点的主机后快速进行自我复制，并通过网络传播过去，这就使得一旦网络中某个节点（可能是台主机，也可能是服务器）被感染病毒，该病毒能够在网络中传递大量的扫描和嗅探性质的数据包，对网络有限的带宽资源造成损害。【防范 ARP 欺骗】大多数的中小企业都遭受过此类攻击行为，这种行为的典型特点是利用了网络的先天性缺陷，即两台主机需要通讯时，必须先相互广播 ARP 地址，在相互交换 IP 地址和 ARP 地址后方
13、可通讯，典型中小型企业网络边界安全解决方案9 / 43特别是中小企业都需要通过边界的网关设备，实现分支机构和总部的互访；ARP 欺骗就是某台主机伪装成网关，发布虚假的 ARP 信息，让内网的主机误认为该主机就是网关，从而把跨越网段的访问数据包（比如分支机构人员访问互联网或总部的业务系统）都传递给该主机，轻微的造成无法正常访问网络，严重的则将会引起泄密；【恶意访问】对于中小型企业网而言，各个分支机构的广域网链路带宽是有限的，因此必须有计划地分配带宽资源，保障关键业务的进行，这就要求无论针对专线所转发的访问，还是互联网出口链路转发的访问，都要求对那些过度占用带宽的行为加以限制，避免因某几台终端过度
14、抢占带宽资源而影响他人对网络的使用。这种恶意访问行为包括：过度使用 P2P 进行大文件下载，长时间访问网游，长时间访问视频网站，访问恶意网站而引发病毒传播，直接攻击网络等行为。【身份与行为的脱节】常见的访问控制措施，还是 QOS 措施，其控制依据都是 IP 地址，而众所周知 IP 地址是很容易伪造的，即使大多数的防火墙都支持 IP+MAC 地址绑定，MAC 地址也是能被伪造的，这样一方面造成策略的制定非常麻烦，因为中小型企业内员工的身份是分级的，每个员工因岗位不同需要访问的目标是不同的，需要提供的带宽保障也是不同的，这就需要在了解每个人的 IP 地址后来制定策略；另一方面容易形成控制缺陷，即低
15、级别员工伪装成高级别员工的地址，从而可占用更多的资源。身份与行为的脱节的影响还在于日志记录上，由于日志的依据也是根据 IP 地址，这样对发生违规事件后的追查造成极大的障碍，甚至无法追查。【拒绝服务攻击】典型中小型企业网络边界安全解决方案10 / 43大多数中小型企业都建有自己的网站，进行对外宣传，是企业对外的窗口，但是由于该平台面向互联网开放，很容易受到黑客的攻击，其中最典型的就是拒绝服务攻击，该行为也利用了现有TCP/IP 网络传输协议的先天性缺陷，大量发送请求连接的信息，而不发送确认信息，使得遭受攻击的主机或网络设备长时间处于等待状态，导致缓存被占满，而无法响应正常的访问请求，表现为就是拒
16、绝服务。这种攻击常常针对企业的网站，使得网站无法被正常访问，破坏企业形象；【不安全的远程访问】对于中小型企业，利用互联网平台，作为专线的备份链路，实现分支机构与总部的连接，是很一种提高系统可靠性，并充分利用现有网络资源的极好办法；另外远程移动办公的人员也需要通过互联网来访问企业网的信息平台，进行相关的业务处理；而互联网的开放性使得此类访问往往面临很多的安全威胁，最为典型的就是攻击者嗅探数据包，或篡改数据包，破坏正常的业务访问，或者泄露企业的商业秘密，使企业遭受到严重的损失。【缺乏集中监控措施】典型中小型企业的特点是，集中管理，分布监控，但是在安全方面目前尚缺乏集中的监控手段，对于各分支机构员工的上网行为，访问业务的行为，以及总部重要资源的受访问状态，都没有集中的监控和管理手段，一旦发生安全事件，将很难快速进行察觉，也很难有效做出反应，事后也很难取证，使得企业的安全管理无法真正落地。2.3 典型中小企业网络安全需求针对中小企业在安全建设及运维管理中所暴露出的问题，山石网科认为，应当进行有针对性的设计和建设，最大化降低威胁，并实现有效的管理。
